🥇Receitas Nginx: Autenticação LDAP com captcha

Para preparar a autenticação com CAPTCHA, precisaremos do próprio nginx e seus plugins encrypted-session, form-input, ctpp2, echo, ldap, headers-more, auth_request, set-misc. (Dei links para meus forks, pois fiz algumas alterações que ainda não consegui enviar para os repositórios originais. Também é possível usar uma forma pronta.)

Para começar, vamos definir

encrypted_session_key "abcdefghijklmnopqrstuvwxyz123456";

Depois, por via das dúvidas, desativamos o cabeçalho de autorização

more_clear_input_headers Authorization;

Agora protegemos tudo com autorização

auth_request /auth;
location =/auth {
    internal;
    subrequest_access_phase on; # permite a fase de autorização na sub-requisição
    auth_request off; # não usar autorização
    set_decode_base64 $auth_decode $cookie_auth; # decodifica o cookie de autenticação
    set_decrypt_session $auth_decrypt $auth_decode; # descriptografa a autenticação
    if ($auth_decrypt = "") { return 401 UNAUTHORIZED; } # se não foi possível descriptografar, o usuário não está autorizado
    more_set_input_headers "Authorization: Basic $auth_decrypt"; # substitui a autorização por básica (para usar a variável $remote_user)
    auth_basic_ldap_realm Auth; # habilita a autorização ldap
    auth_basic_ldap_url ldap://ldap.server.com; # define o endereço
    auth_basic_ldap_bind_dn dn.server.com; # define o sufixo
    echo -n OK; # usuário autorizado
}

Para usuários autorizados, mostramos o conteúdo de sua pasta

location / {
    alias html/$remote_user/;
}

E na falta de autorização, mostramos o formulário de autorização com CAPTCHA

error_page 401 = @error401;
location @error401 {
    set_escape_uri $request_uri_escape $request_uri; # codifica a solicitação
    return 303 /login?request_uri=$request_uri_escape; # redireciona para o formulário de autenticação com captcha, mantendo a solicitação
}
location =/login {
    default_type "text/html; charset=utf-8"; # define o tipo
    if ($request_method = GET) { # se apenas mostrar o formulário de autenticação com captcha
        template login.html.ct2; # define o template
        ctpp2 on; # ativa o template
        set_secure_random_alphanum $csrf_random 32; # gera um csrf aleatório
        encrypted_session_expires 300; # define o tempo de vida do csrf para 5 minutos (5 * 60 = 300)
        set_encrypt_session $csrf_encrypt $csrf_random; # criptografa o csrf aleatório
        set_encode_base64 $csrf_encode $csrf_encrypt; # codifica o csrf criptografado
        add_header Set-Cookie "CSRF=$csrf_encode; Max-Age=300"; # coloca o csrf criptografado no cookie por 5 minutos (5 * 60 = 300)
        return 200 "{"csrf":"$csrf_random"}"; # retorna json para o template
    } # caso contrário - processar o formulário de autenticação com captcha
    set_form_input $csrf_form csrf; # obtém o csrf do formulário
    set_unescape_uri $csrf_unescape $csrf_form; # decodifica o csrf do formulário
    set_decode_base64 $csrf_decode $cookie_csrf; # decodifica o csrf do cookie
    set_decrypt_session $csrf_decrypt $csrf_decode; # descriptografa o csrf do cookie
    if ($csrf_decrypt != $csrf_unescape) { return 303 $request_uri; } # se o csrf do formulário não corresponder ao csrf do cookie, redireciona para mostrar o formulário novamente
    set_form_input $captcha_form captcha; # obtém o captcha do formulário
    set_unescape_uri $captcha_unescape $captcha_form; # decodifica o captcha do formulário
    set_md5 $captcha_md5 "secret${captcha_unescape}${csrf_decrypt}"; # calcula md5
    if ($captcha_md5 != $cookie_captcha) { return 303 $request_uri; } # se o md5 não corresponder ao captcha do cookie, redireciona para mostrar o formulário novamente
    set_form_input $username_form username; # obtém o nome de usuário do formulário
    set_form_input $password_form password; # obtém a senha do formulário
    set_unescape_uri $username_unescape $username_form; # decodifica o nome de usuário do formulário
    set_unescape_uri $password_unescape $password_form; # decodifica a senha do formulário
    encrypted_session_expires 2592000; # define o tempo de vida da sessão para 30 dias (30 * 24 * 60 * 60 = 2592000)
    set $username_password "$username_unescape:$password_unescape"; # define a autenticação básica
    set_encode_base64 $username_password_encode $username_password; # codifica a autenticação básica
    set_encrypt_session $auth_encrypt $username_password_encode; # criptografa a autenticação básica
    set_encode_base64 $auth_encode $auth_encrypt; # codifica a autenticação básica criptografada
    add_header Set-Cookie "Auth=$auth_encode; Max-Age=2592000"; # coloca a autenticação básica criptografada no cookie de autenticação por 30 dias (30 * 24 * 60 * 60 = 2592000)
    set $arg_request_uri_or_slash $arg_request_uri; # copia a solicitação do argumento
    set_if_empty $arg_request_uri_or_slash "/"; # se o argumento não estiver definido, então o início
    set_unescape_uri $request_uri_unescape $arg_request_uri_or_slash; # decodifica a solicitação
    return 303 $request_uri_unescape; # redireciona para a solicitação salva
}

<html>
    <body>
        <form method="post" action="">
            <input type="hidden" name="csrf" value="<TMPL_var csrf>" />
            nome de usuário: <input type="text" name="username" placeholder="Digite o nome de usuário..." /><br />
            senha: <input type="password" name="password" /><br />
            captcha: <img src="/captcha?csrf=<TMPL_var csrf>"/><input type="text" name="captcha" autocomplete="off" /><br />
            <input type="submit" name="submit" value="enviar" />
        <input type="hidden" name="trp-form-language" value="pt"/></form>
    </body>
</html>

Fonte: habr.com

Receitas Nginx: Autorização LDAP com CAPTCHA